En este artículo (8)
- ¿Qué proveedores de email marketing cumplen el RGPD?
- Responsable y encargado: quién responde de qué
- Las preguntas que debes hacer antes de contratar
- Las funciones que debes probar en la herramienta
- Lo que ningún proveedor puede hacer por ti
- Cómo comprobarlo antes de contratar, paso a paso
- Preguntas frecuentes
- Fuentes
Un servicio de email marketing cumple el RGPD cuando trata los datos de tus contactos como encargado del tratamiento, con un contrato de encargo por escrito (artículo 28 del RGPD). También tiene que decirte qué subencargados usa y en qué países están tus datos, y darte herramientas para demostrar el consentimiento y atender bajas y borrados. No hay una lista oficial de proveedores que cumplan el RGPD: se comprueba en el contrato y en la propia herramienta. Y aunque el proveedor cumpla, el permiso para enviar publicidad sigue siendo cosa tuya, porque lo regula la LSSI.
En esta guía tienes qué exige la ley, las preguntas que conviene hacer antes de contratar y las funciones que debes probar. También lo que ningún proveedor puede hacer por ti. NewsletterSoft es uno de esos proveedores, así que al lado de cada pregunta tienes nuestra respuesta. Es una orientación general, no asesoramiento jurídico: si tienes dudas sobre tu caso, consulta con un especialista.
¿Qué proveedores de email marketing cumplen el RGPD?
No existe una lista oficial de proveedores de email que «cumplen el RGPD». Cualquiera puede decirlo en su web; lo que cuenta es lo que firma contigo y lo que hace su herramienta. Un proveedor que cumple da estas cinco señales:
- Te da un contrato de encargo del tratamiento antes de que subas tus contactos.
- Publica sus subencargados, con su función y su país.
- Te dice dónde están tus datos y, si salen del Espacio Económico Europeo (EEE), con qué garantía.
- Te deja demostrar el consentimiento de cada contacto y atender bajas y borrados sin trabajo manual.
- Explica cómo protege los datos y cómo te avisará si hay una brecha de seguridad.
Responsable y encargado: quién responde de qué
Tu empresa es la responsable; el proveedor, el encargado
Tu empresa decide para qué usa los datos de sus contactos, así que es la responsable del tratamiento. El proveedor de email marketing los trata por cuenta tuya para enviar tus campañas, así que es el encargado del tratamiento. El RGPD te obliga a elegir encargados que ofrezcan garantías suficientes y a firmar con ellos un contrato, que puede ser electrónico (artículo 28).
Ese contrato debe recoger, entre otras cosas:
- el objeto, la duración y la finalidad del tratamiento, y el tipo de datos;
- que el proveedor solo trate los datos siguiendo tus instrucciones;
- la confidencialidad y las medidas de seguridad;
- las condiciones para usar subencargados;
- la ayuda para atender los derechos de tus contactos;
- qué pasa con los datos al terminar el servicio.
Si el proveedor usa tus datos para fines propios, pasa a ser responsable de ese tratamiento (artículo 28.10). La AEPD tiene unas directrices para elaborar estos contratos.
Si hay una brecha de seguridad, el encargado debe avisarte sin dilación indebida (artículo 33.2), porque tú tienes 72 horas para notificarla a la AEPD (artículo 33.1).
RGPD y LSSI: poder guardar un contacto no te permite enviarle publicidad
Es el error más habitual. El RGPD regula si puedes tratar los datos de una persona. La LSSI regula si puedes enviarle comunicaciones comerciales por email, SMS u otro medio electrónico. Son dos permisos distintos y necesitas los dos.
Por ejemplo, el artículo 19 de la LOPDGDD permite tratar, por interés legítimo, los datos de contacto de una persona que trabaja en una empresa para mantener la relación con esa empresa. Eso no te autoriza a mandarle publicidad por email: el artículo 21 de la LSSI exige que la haya pedido o autorizado expresamente antes.
La excepción para clientes
Puedes enviar comunicaciones comerciales a tus clientes sin consentimiento previo si se cumplen a la vez estas condiciones (artículo 21.2 de la LSSI):
- Tienes una relación contractual previa con esa persona y obtuviste sus datos de forma lícita.
- Le ofreces productos o servicios de tu propia empresa, similares a los que te compró.
- Le diste la opción de oponerse, de forma sencilla y gratuita, al recoger sus datos y se la das en cada comunicación.
Si falla una, necesitas consentimiento expreso. Además, cada comunicación comercial debe identificar a tu empresa como remitente (artículo 20) y permitir revocar el consentimiento de forma sencilla y gratuita (artículo 22).
El envío masivo de comunicaciones comerciales sin cumplir el artículo 21 es una infracción grave de la LSSI, con multas de 30.001 a 150.000 euros (artículos 38 y 39). Las infracciones más graves del RGPD pueden llegar a 20 millones de euros o al 4 % de la facturación anual mundial, la cifra mayor (artículo 83).
Las preguntas que debes hacer antes de contratar
Pide las respuestas por escrito. En la última columna tienes las de NewsletterSoft, tal como las publicamos en la política de privacidad y en el aviso legal y términos de uso.
| Pregunta | Qué deberías recibir | En NewsletterSoft |
|---|---|---|
| ¿Firmamos un contrato de encargo? | Un contrato con el contenido del artículo 28.3 del RGPD, antes de subir tus contactos | Sí, con cada cliente. Puedes pedírnoslo cuando quieras. |
| ¿Dónde están mis datos? | El país de cada centro de datos | La base de datos de contactos, en Amazon Web Services en Irlanda (Supabase). La aplicación y los ficheros, en centros de Cloudflare de Europa occidental. Los servidores de envío de email, en el Reino Unido e Irlanda. |
| ¿Qué subencargados usáis? | Una lista con su función y su país, y aviso antes de cambiarla | Cloudflare y Supabase (alojamiento); Noraina y Cloudflare (envío de email); Lleida.net y CheckMobi (SMS); 2Chat (WhatsApp, que pasa además por la plataforma de Meta), y Anthropic (asistente con IA). La lista completa está en la política de privacidad. |
| ¿Salen mis datos del EEE? | Qué proveedores, a qué países y con qué garantía | En algunos casos. Cloudflare, Supabase, Anthropic y 2Chat son empresas de Estados Unidos, y Cloudflare puede atender cada petición desde el centro de su red más cercano. Las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo. |
| ¿Usáis mis datos para algo más? | Que solo los tratan para prestarte el servicio | No. Solo para prestar el servicio y según tus instrucciones. |
| ¿Qué pasa con mis datos si me voy? | Que los borran o te los devuelven | Los suprimimos o te los devolvemos, según elijas. |
Las funciones que debes probar en la herramienta
El contrato dice a qué se compromete el proveedor. La herramienta te dice si puedes cumplir tu parte. Pruébala en una demo, con un contacto de prueba.
Que guarde la prueba del consentimiento
El RGPD te obliga a poder demostrar que cada persona dio su consentimiento (artículo 7.1). Para eso, el formulario debe llevar una casilla sin marcar y un texto que explique para qué vas a usar sus datos, y la herramienta debe guardar la prueba de cada alta.
En NewsletterSoft, los formularios y los pop-ups de captación pueden llevar una casilla de consentimiento: solo quien la marca queda suscrito. En los pop-ups con consentimiento, cada alta guarda además la prueba:
- el estado y el texto de la casilla;
- el aviso tal como lo vio la persona;
- la página donde se apuntó y la fecha;
- la IP, con el último bloque a cero.
En la ficha de cada contacto ves su consentimiento por canal: email, SMS y WhatsApp. Si al enviar un SMS o un WhatsApp no se puede comprobar ese consentimiento, el mensaje no sale.
Que ofrezca doble opt-in
Con el doble opt-in, el alta queda pendiente hasta que la persona la confirma desde un email. La ley no lo exige, pero es la mejor prueba de que la dirección es de quien se apuntó. En NewsletterSoft puedes activarlo en los formularios y en los pop-ups. Una confirmación nunca reactiva a alguien que se dio de baja.
Que las bajas lleguen a todo
Cada campaña de NewsletterSoft lleva un pie legal con enlace de baja: sin él, la campaña no sale. Es una de las siete comprobaciones de la revisión antes del envío. Los emails llevan también la baja en un clic que Gmail o Yahoo enseñan junto al remitente.
Quien se da de baja queda fuera de las campañas y de las automatizaciones. Si vuelves a importar su dirección, la baja se mantiene. Más detalle en la gestión de contactos.
Que el borrado sea real
Si alguien te pide que borres sus datos (artículo 17), el borrado tiene que llegar a todas partes. En NewsletterSoft, un contacto borrado desaparece al momento de contactos, listas, segmentos y exportaciones, y sus restos en el almacenamiento se limpian en unos 30 días. Queda una marca de supresión para no volver a escribirle. Para atender una petición de acceso, puedes exportar los contactos a CSV.
Que el remitente sea tuyo
La LSSI exige que se sepa quién envía cada comunicación comercial (artículo 20). En NewsletterSoft solo puedes enviar desde un dominio tuyo verificado, con SPF y DKIM. Aquí tienes cómo configurar SPF, DKIM y DMARC.
Lo que ningún proveedor puede hacer por ti
- Conseguir el permiso. El proveedor guarda la prueba, pero la casilla, el texto y el momento los decides tú. Te ayudará ver cómo adaptar los formularios al RGPD y estos textos de protección de datos para tus emails.
- Revisar las listas antiguas. Validar las direcciones te dice si existen, no si te dieron permiso. Si no puedes demostrar el consentimiento de una lista, no la uses para publicidad. Y antes de comprar una, lee si conviene comprar una base de datos o crear la tuya.
- Informar a tus contactos. Tu política de privacidad debe explicar quién trata sus datos, para qué y con qué proveedores.
- Responder a tiempo. Tienes un mes para contestar a una petición de acceso, rectificación o supresión (artículo 12.3).
Cómo comprobarlo antes de contratar, paso a paso
- Pide el contrato de encargo y la lista de subencargados, y comprueba que responden a las preguntas de la tabla.
- En una demo, apúntate con un email de prueba en un formulario con doble opt-in y mira qué prueba del consentimiento queda guardada.
- Envíate una campaña, date de baja desde el propio email y comprueba que sales también de las automatizaciones.
- Borra el contacto de prueba y comprueba que desaparece de listas, segmentos y exportaciones.
Con NewsletterSoft puedes hacerlo con nosotros: solicita una demo y te enseñamos cada paso en la plataforma de marketing automation, con email, SMS y WhatsApp.
Preguntas frecuentes
¿Qué proveedores de email marketing cumplen el RGPD?
No hay una lista oficial. Cumple el proveedor que firma contigo un contrato de encargo (artículo 28 del RGPD) y publica sus subencargados y dónde trata los datos. También debe explicar sus garantías si los datos salen del EEE y darte herramientas para demostrar el consentimiento y atender bajas y borrados.
¿Necesito un contrato de encargo con mi herramienta de email marketing?
Sí. Si la herramienta guarda y trata los datos de tus contactos por cuenta tuya, es encargada del tratamiento y el RGPD exige un contrato por escrito, que puede ser electrónico.
¿Puedo usar un proveedor con servidores fuera de la Unión Europea?
Sí, si la transferencia tiene una de las garantías del RGPD. Por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas, o cláusulas contractuales tipo. El proveedor debe decirte qué garantía usa con cada subencargado.
¿Puedo enviar emails comerciales a mis clientes sin su consentimiento?
Solo si se cumple la excepción del artículo 21.2 de la LSSI. Hace falta una relación contractual previa y datos obtenidos de forma lícita. Además, solo puedes ofrecer productos o servicios de tu empresa similares a los que compraron, y debes darles la opción de oponerse, gratis y de forma sencilla, al recoger sus datos y en cada envío.
¿Validar los emails de una lista antigua me permite enviarles publicidad?
No. La validación comprueba que la dirección existe, no que su titular aceptara recibir publicidad. Sin prueba del consentimiento, o sin la excepción para clientes, no envíes.
Fuentes
Consultadas el 10-11-2026. Esta guía es una orientación general y no sustituye al asesoramiento jurídico.
- Reglamento General de Protección de Datos (RGPD): artículos 7, 12, 17, 28, 33 y 83.
- Ley de Servicios de la Sociedad de la Información (LSSI): artículos 20, 21, 22, 38 y 39.
- Ley Orgánica de Protección de Datos (LOPDGDD): artículo 19.
- AEPD: directrices para los contratos entre responsables y encargados. EDPB: directrices 07/2020 sobre responsable y encargado.
